SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (L-Ewwel Awla)

9 ta’ Jannar 2025 ( *1 )

“Rinviju għal deċiżjoni preliminari – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 5(1)(ċ) – Il-minimizzazzjoni tad-data – Artikolu 6(1) – Legalità tal-ipproċessar – Data dwar it-titolu u l-identità tal-ġeneru – Bejgħ online ta’ biljetti ta’ trasport – Artikolu 21 – Dritt ta’ oġġezzjoni”

Fil-Kawża C‑394/23,

li għandha bħala suġġett talba għal deċiżjoni preliminari skont l-Artikolu 267 TFUE, imressqa mill-Conseil d’État (il-Kunsill tal-Istat, Franza), permezz ta’ deċiżjoni tal-21 ta’ Ġunju 2023, li waslet fil-Qorti tal-Ġustizzja fit-28 ta’ Ġunju 2023, fil-proċedura

Mousse

Commission nationale de l’informatique et des libertés (CNIL),

SNCF Connect

IL-QORTI TAL-ĠUSTIZZJA (L-Ewwel Awla),

komposta minn K. Lenaerts, President tal-Qorti Ġustizzja, li qiegħed jaġixxi bħala President tal-Ewwel Awla, T. von Danwitz (Relatur), Viċi President tal-Qorti tal-Ġustizzja, M. L. Arastey Sahún, A. Kumin u I. Ziemele, Imħallfin,

Avukat Ġenerali: M. Szpunar,

Reġistratur: I. Illéssy, Amministratur,

wara li rat il-proċedura bil-miktub u wara s-seduta tad-29 ta’ April 2024,

wara li kkunsidrat l-osservazzjonijiet ippreżentati:

–	għal Mousse, minn E. Deshoulières, avocat, Y. El Kaddouri, J. Heymans u D. Holemans, advocaten,

–	għal SNCF Connect, minn E. Drouard, J.-J. Gatineau u A. Ligot, avukati,

–	għall-Gvern Franċiż, minn R. Bénard, B. Dourthe u B. Fodda, bħala aġenti,

–	għall-Kummissjoni Ewropea, minn A. Bouchagiar u H. Kranenborg, bħala aġenti,

wara li semgħet il-konklużjonijiet tal-Avukat Ġenerali, ippreżentati fis-seduta tal-11 ta’ Lulju 2024,

tagħti l-preżenti

Sentenza

It-talba għal deċiżjoni preliminari tirrigwarda l-interpretazzjoni tal-Artikolu 5(1)(c), l-ewwel subparagrafu tal-Artikolu 6(1)(b) u (f) u l-punt (f) tal-Artikolu 21 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

Din it-talba tressqet fil-kuntest ta’ kawża bejn l-assoċjazzjoni Mousse, assoċjazzjoni, u l-Commission nationale de l’informatique et des libertés (il-Kummissjoni Nazzjonali tal-Informatika u tal-Libertajiet, Franza) dwar iċ-ċaħda, minn din tal-aħħar, tal-ilment imressaq minn Mousse fir-rigward tat-trattament, mill-kumpannija SNCF Connect, ta’ data dwar it-titolu tal-klijenti tagħha waqt il-bejgħ online ta’ biljetti tat-trasport.

Il-kuntest ġuridiku

Id-dritt tal-Unjoni

Il-GDPR

Il-premessi 1, 4, 10, 47 u 75 tal-GDPR jipprovdu:

“(1)

Il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali hija dritt fundamentali. L-Artikolu 8(1) tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (il-‘Karta’) u l-Artikolu 16(1) [TFUE] jipprevedu li kull persuna għandha dritt għall-protezzjoni tad-data personali li tirrigwardaha.

[…]

(4)

. L-ipproċessar tad-data personali għandu jitfassal biex iservi lill-bniedem. Id-dritt għall-protezzjoni tad-data personali mhuwiex dritt assolut; huwa għandu jiġi kkunsidrat b’rabta mal-funzjoni tiegħu fis-soċjetà u jkun ibbilanċjat ma’ drittijiet fundamentali oħrajn, f’konformità mal-prinċipju tal-proporzjonalità. Dan ir-Regolament jirrispetta d-drittijiet fundamentali kollha u josserva l-libertajiet u l-prinċipji rikonoxxuti fil-Karta kif integrata fit-Trattati, b’mod partikolari r-rispett għall-ħajja privata u tal-familja, id-dar u l-komunikazzjonijiet, il-protezzjoni tad-data personali, il-libertà tal-ħsieb, tal-kuxjenza u tar-reliġjon, il-libertà tal-espressjoni u tal-informazzjoni, il-libertà tal-intrapriża, id-dritt għal rimedju effettiv u għal proċess imparzjali u d-diversità kulturali, reliġjuża u lingwistika.

[…]

(10)

. Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni, il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. […]

[…]

(47)

. L-interessi leġittimi ta’ kontrollur inklużi dawk ta’ kontrollur li lilu tista’ tiġi żvelata d-data personali jew ta’ parti terza, jistgħu jipprovdu bażi legali għall-ipproċessar, sakemm l-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data ma jkunux aktar importanti, b’kont meħud tal-aspettattivi raġonevoli tas-suġġetti tad-data abbażi tar-relazzjoni tagħhom mal-kontrollur. Tali interess leġittimu jista’ jeżisti pereżempju fejn ikun hemm relazzjoni rilevanti u adatta bejn is-suġġett tad-data u l-kontrollur f’sitwazzjonijiet bħal fejn is-suġġett tad-data jkun klijent jew fis-servizz tal-kontrollur. Fi kwalunkwe każ il-preżenza ta’ interess leġittimu tkun teħtieġ valutazzjoni bir-reqqa inkluż dwar jekk is-suġġett tad-data jkunx jista’ raġonevolment jistenna, fil-mument u fil-kuntest tal-ġbir tad-data personali, li l-ipproċessar għal dak il-fini jkun jista’ jsir. […] L-ipproċessar ta’ data personali sal-punt strettament meħtieġ għall-finijiet tal-prevenzjoni u l-monitoraġġ ta’ frodi wkoll jikkostitwixxi interess leġittimu tal-kontrollur tad-data kkonċernat. L-ipproċessar ta’ data personali għal finijiet ta’ kummerċjalizzazzjoni diretta jista’ jitqies li twettaq għal interess leġittimu.

[…]

(75)

. Ir-riskju għad-drittijiet u għal-libertajiet tal-persuni fiżiċi, ta’ probabilità u ta’ severità li jvarjaw, jista’ jirriżulta mill-ipproċessar ta’ data personali li jista’ jwassal għal dannu fiżiku, materjali jew mhux materjali, b’mod partikolari: meta t-trattament jista’ jagħti lok għal diskriminazzjoni […]”

4	L-Artikolu 1 ta’ dan ir-regolament, bit-titolu “Suġġett u objettivi”, jipprovdi fil-paragrafu 2 tiegħu: “Dan ir-Regolament jipproteġi d-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi u b’mod partikolari d-dritt tagħhom għall-protezzjoni ta’ data personali.”

Skont l-Artikolu 2(1) tal-imsemmi regolament:

“Dan ir-Regolament japplika għall-ipproċessar ta’ data personali kompletament jew parzjalment b’mezzi awtomatizzati, u għall-ipproċessar għajr b’mezzi awtomatizzati ta’ data personali li tifforma parti minn sistema ta’ arkivjar jew li tkun maħsuba sabiex tifforma parti minn sistema ta’ arkivjar.”

L-Artikolu 4 tal-istess regolament, intitolat “Definizzjonijiet”, jipprevedi:

“Għall-finijiet ta’ dan ir-Regolament:

(1)	‘data personali’ tfisser kwalunkwe informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli […];

(2)	‘ipproċessar’ tfisser kwalunkwe attività jew sett ta’ attivitajiet li jitwettqu fuq data personali jew fuq settijiet ta’ data personali, sew jekk b’mezzi awtomatizzati u sew jekk mingħajrhom, bħalma huma l-ġbir, ir-reġistrazzjoni,;

[…]

(7)	‘kontrollur’ tfisser persuna fiżika jew ġuridika, awtorità pubblika, aġenzija jew kwalunkwe korp ieħor li, waħdu jew flimkien ma’ oħrajn, jiddetermina l-għanijiet u l-mezzi tal-ipproċessar ta’ data personali;

[…]

(11)

‘kunsens’ tas-suġġett tad-data tfisser kwalunkwe indikazzjoni tax-xewqat tas-suġġett tad-data mogħtija b’mod liberu, speċifika, infurmata u mhux ambigwa li permezz tagħha s-suġġett tad-data, permezz ta’ dikjarazzjoni jew permezz ta’ azzjoni affermattiva ċara, juri li jaqbel mal-ipproċessar ta’ data personali relatata miegħu;

[…]”

L-Artikolu 5 tal-GDPR, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi:

“1. Id-data personali għandha:

(a)	tkun ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data (‘legalità, ġustizzja u trasparenza’);

[…]

(c)	tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (‘minimizzazzjoni tad-data’);

[…]”

L-Artikolu 6 ta’ dan ir-regolament, intitolat “Legalità tal-ipproċessar”, jipprevedi, fil-paragrafu 1 tiegħu:

“L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:

(a)	is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;

(b)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;

(c)	l-ipproċessar ikun meħtieġ għall-konformità ma’ obbligu legali li għalih huwa soġġett il-kontrollur;

(d)	l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;

(e)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;

(f)

l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.

[…]”

L-Artikolu 13 tal-imsemmi regolament, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprevedi:

“1. Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:

[…]

(c)	l-għanijiet tal-ipproċessar li għalihom hija maħsuba d-data personali kif ukoll il-bażi legali għall-ipproċessar;

(d)	fejn l-ipproċessar ikun ibbażat fuq il-punt (f) tal-Artikolu 6(1), l-interessi leġittimi segwiti mill-kontrollur jew minn parti terza;

[…]”

L-Artikolu 21 tal-istess regolament, intitolat “Dritt ta’ oġġezzjoni”, jipprovdi, fil-paragrafu 1 tiegħu:

“Is-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li hija bbażata fuq il-punt (e) jew (f) tal-Artikolu 6(1), inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet. Il-kontrollur tad-data ma għandux ikompli jipproċessa d-data personali, sakemm ma jurix li jeżistu raġunijiet leġittimi u imperattivi għall-ipproċessar li jipprevalu fuq l-interessi u fuq id-drittijiet u fuq il-libertajiet tas-suġġett tad-data jew għall-istabbiliment, l-eżerċizzju jew id-difiża ta’ talbiet legali.”

Id-Direttiva 2004/113/KE

Skont l-Artikolu 1 tagħha, id-Direttiva tal-Kunsill 2004/113/KE tat-13 ta’ Diċembru 2004 li timplimenta l-prinċipju ta’ trattament ugwali bejn l-irġiel u n-nisa fl-aċċess għal u l-provvista ta’ merkanzija u servizzi (ĠU 2006, L 153M, p. 294), għandha l-għan li tistabbilixxi qafas għall-ġlieda kontra d-diskriminazzjoni bbażata fuq is-sess fl-aċċess għal u l-provvista ta’ merkanzija u servizzi, bl-għan li jiġi implementat, fl-Istati Membri, il-prinċipju ta’ trattament ugwali bejn l-irġiel u n-nisa.

Id‑dritt Franċiż

L-Artikolu 8 tal-Liġi Nru 78-17 tas-6 ta’ Jannar 1978 dwar l-Informatika, il-Fajls u l-Libertajiet (JORF tas-7 ta’ Jannar 1978, p. 227), fil-verżjoni tagħha applikabbli għall-kawża prinċipali, jipprovdi:

“I A. Iċ-[CNIL] hija awtorità amministrattiva indipendenti.

I. Hija l-awtorità superviżorja nazzjonali fis-sens u b’implimentazzjoni [tal-GDPR]. Hija għandha twettaq il-kompiti li ġejjin:

[…]

2° Għandha tiżgura li l-ipproċessar ta’ data personali jitwettaq konformement mad-dispożizzjonijiet ta’ din il-liġi u mad-dispożizzjonijiet l-oħra dwar il-protezzjoni tad-data personali previsti mit-testi leġiżlattivi u regolatorji, mid-dritt tal-Unjoni […] u mill-impenji internazzjonali ta’ Franza.

Għal dan l-għan:

[…]

(d)

Għandha tittratta l-ilmenti, il-petizzjonijiet u l-pretensjonijiet ippreżentati minn suġġett tad-data jew minn korp, organizzazzjoni jew assoċjazzjoni, teżamina jew tinvestiga s-suġġett tal-ilment, sa fejn ikun xieraq, u tinforma lill-ilmentatur dwar il-progress u l-eżitu tal-investigazzjoni fi żmien raġonevoli, b’mod partikolari jekk tkun meħtieġa aktar investigazzjoni jew koordinazzjoni ma’ awtorità superviżorja oħra, […]”

Il-kawża prinċipali u d-domandi preliminari

SNCF Connect tikkummerċjalizza biljetti tat-trasport ferrovjarju, abbonamenti u kards ta’ skontijiet permezz tas-sit internet u l-applikazzjonijiet online tagħha. Il-klijenti ta’ din l-impriża għandhom l-obbligu li jindikaw it-titolu tagħhom, billi jikkwotaw il-kliem “Sinjur” jew “Sinjura”, meta jixtru dawn il-biljetti ta’ trasport fuq dan is-sit internet jew dawn l-applikazzjonijiet online.

Peress li qieset li l-kundizzjonijiet għall-ġbir u għar-reġistrazzjoni tad-data relatata mat-titolu ta’ dawn il-klijenti ma kinux konformi mar-rekwiżiti tal-GDPR, Mousse ressqet ilment quddiem iċ-CNIL kontra SNCF Connect. Insostenn ta’ dan l-ilment, Mousse sostniet li l-ġbir tad-data ma kienx konformi mal-prinċipju ta’ legalità, stabbilit fl-Artikolu 5(1)(a) tal-GDPR, peress li ma kien ibbażat fuq ebda bażi prevista fl-Artikolu 6(1) tal-GDPR. Barra minn hekk, tali ġbir kiser il-prinċipju ta’ minimizzazzjoni tad-data previst fl-Artikolu 5(1)(c) tal-GDPR, b’mod partikolari, l-obbligi ta’ trasparenza u ta’ informazzjoni li jirriżultaw, b’mod partikolari, mill-Artikolu 13 tal-GDPR.

Permezz ta’ deċiżjoni tat-23 ta’ Marzu 2021, iċ-CNIL qieset li l-fatti li hija akkużata bihom SNCF Connect ma kinux jikkostitwixxu ksur tad-dispożizzjonijiet imsemmija tal-GDPR u li kien hemm lok li tingħalaq il-proċedura ta’ eżami tal-imsemmi lment. Insostenn ta’ din id-deċiżjoni, iċ-CNIL ikkonstatat li l-ipproċessar tad-data inkwistjoni fil-kawża prinċipali kien legali, skont il-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, minħabba li kien neċessarju għall-eżekuzzjoni tal-kuntratt għall-provvista ta’ servizzi ta’ trasport ikkonċernat. Barra minn hekk, iċ-CNIL irrilevat li, fir-rigward tal-għanijiet tiegħu, dan l-ipproċessar kien konformi mal-prinċipju tal-minimizzazzjoni tad-data, peress li l-fatt tal-indirizzar tal-klijenti b’mod ippersonalizzat bl-użu tat-titolu ta’ dawn tal-aħħar, kien jikkorrispondi għall-użanzi aċċettati fil-qasam tal-komunikazzjonijiet kummerċjali, ċivili u amministrattivi.

Fil-21 ta’ Mejju 2021, Mousse ppreżentat rikors għal annullament kontra din id-deċiżjoni taċ-CNIL quddiem il-Conseil d’État (il-Kunsill tal-Istat, Franza) li hija l-qorti tar-rinviju. Fir-rikors tagħha, Mousse ssostni b’mod partikolari li l-obbligu li tintgħażel il-kelma “Sinjur” jew “Sinjura” waqt ix-xiri online ma jissodisfax la l-prinċipju ta’ legalità stabbilit fl-Artikolu 5(1)(a) tal-GDPR, u lanqas il-prinċipju ta’ minimizzazzjoni tad-data, stabbiliti fl-Artikolu 5(1)(a) u (c) tiegħu, peress li din l-indikazzjoni ma hijiex neċessarja għat-twettiq ta’ kuntratt ta’ provvista ta’ servizzi ta’ trasport, u lanqas għall-finijiet tal-interessi leġittimi ta’ SNCF Connect. Il-fatt li termini ta’ dan it-tip jintużaw fil-korrispondenza kummerċjali ma huwiex biżżejjed sabiex jirrendi tali obbligu neċessarju. Fl-aħħar nett, tali obbligu jista’ jippreġudika d-dritt ta’ vvjaġġar jekk wieħed ma jikkomunikax it-titolu tiegħu, id-dritt tar-rispett tal-ħajja privata kif ukoll il-libertà li wieħed jiddefinixxi liberament l-espressjoni tal-ġeneru tiegħu, u joħloq riskju ta’ diskriminazzjoni. Fir-rigward taċ-ċittadini ta’ Stati li l-istat ċivili tagħhom jammetti “ġeneru newtrali”, dan ir-riferiment ma jikkorrispondix mar-realtà u jista’ jippreġudika, b’mod partikolari, il-libertà ta’ moviment tagħhom, iggarantita mid-dritt tal-Unjoni.

Iċ-CNIL titlob li dan ir-rikors jiġi miċħud filwaqt li ssostni li l-ipproċessar tad-data dwar it-titoli jista’ wkoll jiġi kklassifikat bħala neċessarju għall-finijiet tal-interessi leġittimi segwiti minn SNCF Connect, skont l-punti (f) tal-ewwel subparagrafu tal-Artikolu 6(1)tal-GDPR, u li s-suġġetti tad-data jistgħu, skont is-sitwazzjoni partikolari tagħhom jinvokaw id-dritt għall-oġġezzjoni ggarantit fl-Artikolu 21 tal-GDPR.

F’dan il-kuntest, il-qorti tar-rinviju tistaqsi b’mod partikolari dwar il-kwistjoni jekk jistgħux jittieħdu inkunsiderazzjoni, għall-finijiet tal-evalwazzjoni tan-neċessità tal-ipproċessar tad-data inkwistjoni fil-kawża prinċipali, l-użu ammess fil-komunikazzjonijiet kummerċjali, ċivili u amministrattivi, b’tali mod li l-ġbir tad-data dwar it-titolu tal-klijenti, limitat għall-indikazzjonijiet “Sinjur” jew “Sinjura”, jistax ikun legali u konformi mal-prinċipju ta’ minimizzazzjoni tad-data. Din il-qorti tistaqsi, barra minn hekk, dwar jekk, bil-għan li tiġi evalwata n-neċessità ta’ dan il-ġbir obbligatorju u tal-ipproċessar sussegwenti ta’ data dwar it-titoli tal-klijenti, minkejja li wħud minnhom iqisu li huma ma jaqgħux taħt ebda wieħed miż-żewġ titoli, għandux jittieħed inkunsiderazzjoni l-fatt li dawn il-klijenti jistgħu, wara li jkunu pprovdew din id-data lill-kontrollur responsabbli għall-ipproċessar sabiex jibbenefikaw mis-servizz ikkonċernat, jeżerċitaw id-dritt tagħhom ta’ oppożizzjoni għall-użu ta’ tali data, għal raġunijiet li jirrigwardaw is-sitwazzjoni partikolari tagħhom, fis-sens tal-Artikolu 21 tal-GDPR.

Huwa f’dan il-kuntest li l-Conseil d’État (il-Kunsill tal-Istat) iddeċieda li jissospendi l-proċeduri quddiemu u li jagħmel lill-Qorti tal-Ġustizzja d-domandi preliminari li ġejjin:

“1.

Sabiex tiġi evalwata n-natura adegwata, rilevanti u limitata għal dak li huwa neċessarju tal-ġbir ta’ data fis-sens tad-dispożizzjonijiet tal-Artikolu 5(1)(c) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas 27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) u n-neċessità tal-ipproċessar tagħha fis-sens tal-Artikolu 6(1)(b) u (f) tal-GDPR, jistgħu jittieħdu inkunsiderazzjoni użijiet aċċettati b’mod komuni fil-qasam ta’ komunikazzjonijiet ċivili, kummerċjali u amministrattivi, b’tali mod li l-ġbir ta’ data relatata mat-titoli tal-klijenti, limitat għall-kliem “Sinjur” jew “Sinjura”, ikun jista’ jitqies bħala neċessarju, mingħajr ma dan ikun ta’ ostakolu għall-prinċipju ta’ minimizzazzjoni tad-data?

Sabiex tiġi evalwata n-neċessità tal-ġbir obbligatorju u tal-ipproċessar ta’ data relatata mat-titoli tal-klijenti, minkejja li ċerti klijenti jqisu li huma ma jaqgħux taħt ebda wieħed miż-żewġ titoli u li l-ġbir ta’ din id-data ma huwiex rilevanti sa fejn huma kkonċernati, huwa neċessarju li jittieħed inkunsiderazzjoni l-fatt li dawn ikunu jistgħu, wara li jkunu pprovdew din id-data lill-kontrollur sabiex jibbenefikaw mis-servizz propost, jeżerċitaw id-dritt tagħhom ta’ oppożizzjoni għall-użu tagħha u għall-ħażna tagħha billi jsostnu s-sitwazzjoni partikolari tagħhom, skont l-Artikolu 21 tal-GDPR?”

Fuq id-domandi preliminari

Fuq l-ewwel domanda

Permezz tal-ewwel domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk il-punti (b) u (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, moqri flimkien mal-Artikolu 5(1) (c) ta’ dan ir-regolament, għandux jiġi interpretat fis-sens li l-ipproċessar ta’ data personali dwar it-titolu tal-klijenti ta’ impriża ta’ trasport, li għandu bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali bbażata fuq l-identità tal-ġeneru tagħhom, jista’ jitqies li huwa neċessarju għall-eżekuzzjoni ta’ kuntratt, fis-sens ta’ dan il-punt (b), jew neċessarju għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur responsabbli għal dan l-ipproċessar jew minn terz, fis-sens ta’ dan il-punt (f).

Osservazzjonijiet preliminari

Preliminarjament, għandu jitfakkar li l-għan imfittex mill-GDPR, hekk kif jirriżulta kemm mill-Artikolu 1 tiegħu kif ukoll mill-premessi 1 u 10 tiegħu, huwa, b’mod partikolari, dak li jiġi ggarantit livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi, b’mod partikolari tad-dritt tagħhom għall-ħajja privata fir-rigward tal-ipproċessar tad-data personali, sanċit fl-Artikolu 8(1) tal-Karta u fl-Artikolu 16(1) TFUE (sentenza tal-4 ta’ Ottubru 2024, Schrems (Komunikazzjoni ta’ data lill-pubbliku ġenerali), C‑446/21, EU:C:2024:834, punt 45 u l-ġurisprudenza ċċitata).

Konformement ma’ dan l-għan, kull ipproċessar ta’ data personali għandu, b’mod partikolari, ikun konformi mal-prinċipji relatati mal-ipproċessar ta’ tali data stabbiliti fl-Artikolu 5 ta’ dan ir-regolament u jkun jissodisfa l-kundizzjonijiet ta’ legalità elenkati fl-Artikolu 6 tal-imsemmi regolament (sentenza tal-4 ta’ Ottubru 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 27 u l-ġurisprudenza ċċitata).

23	L-Artikolu 5(1)(a) tal-GDPR jipprovdi li d-data personali għandha tiġi pproċessata b’mod legali, ġust u trasparenti fir-rigward tas-suġġett tad-data.

Skont l-Artikolu 5(1)(c) ta’ dan ir-regolament, li jistabbilixxi l-prinċipju ta’ minimizzazzjoni tad-data, din id-data għandha wkoll tkun adegwata, rilevanti u limitata għal dak li huwa neċessarju fir-rigward tal-għanijiet li għalihom tiġi pproċessata. Dan il-prinċipju huwa espressjoni tal-prinċipju ta’ proporzjonalità (ara, f’dan is-sens, is-sentenza tal-4 ta’ Ottubru 2024, Schrems (Komunikazzjoni tad-data lill-pubbliku ġenerali),C‑446/21, EU:C:2024:834, punti 49 u 50, kif ukoll il-ġurisprudenza ċċitata).

Fir-rigward tal-kundizzjonijiet ta’ legalità tal-ipproċessar, kif iddeċidiet il-Qorti tal-Ġustizzja, l-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR jipprevedi lista eżawrjenti u limitattiva tal-każijiet li fihom ipproċessar ta’ data personali jista’ jitqies bħala li huwa legali. Għalhekk, sabiex ipproċessar ta’ data personali jkun jista’ jitqies li huwa leġittimu, dan għandu jkun kopert minn wieħed mis-sitt każijiet previsti f’din id-dispożizzjoni (sentenza tal-4 ta’ Ottubru 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 29 u l-ġurisprudenza ċċitata).

Skont il-punt (a) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, l-ipproċessar ta’ data personali jkun legali jekk, u sakemm, is-suġġett tad-data jkun ta l-kunsens tiegħu għal dan l-ipproċessar għal skop jew għal diversi finalitajiet speċifiċi. Fl-assenza ta’ tali kunsens, jew meta dan il-kunsens ma jkunx ingħata b’mod liberu, speċifiku, informat u inekwivoku, fis-sens tal-punt 11 tal-Artikolu 4 tal-GDPR, tali pproċessar jista’ jkun madankollu ġġustifikat meta dan ikun jissodisfa wieħed mir-rekwiżiti ta’ neċessità msemmija fil-punti (b) sa (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-imsemmi regolament (ara f’dan is-sens, is-sentenza tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali) (C‑252/21, EU:C:2023:537, punti 91 u 92).

F’dan il-kuntest, il-ġustifikazzjonijiet previsti f’din l-aħħar dispożizzjoni, sa fejn dawn jippermettu li pproċessar ta’ data personali mwettaq fl-assenza tal-kunsens tas-suġġett tad-data jsir legali, għandhom ikunu suġġetti għal interpretazzjoni restrittiva (sentenza tal-4 ta’ Ottubru 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 31 u l-ġurisprudenza ċċitata).

Barra minn hekk, hekk kif iddeċidiet il-Qorti tal-Ġustizzja meta jkun possibbli li jiġi kkonstatat li pproċessar ta’ data personali huwa neċessarju fid-dawl ta’ waħda mill-ġustifikazzjonijiet previsti fil-punti (b) sa (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, ma hemmx lok li jiġi ddeterminat jekk dan l-ipproċessar jaqax ukoll taħt waħda oħra minn dawn il-ġustifikazzjonijiet. Għandu jiġi ppreċiżat, f’dan ir-rigward, li r-rekwiżit ta’ neċessità marbut mal-ġustifikazzjoni ma huwiex issodisfatt meta l-għan imfittex minn dan l-ipproċessar ta’ data jista’ raġonevolment jintlaħaq b’mod daqstant effettiv b’mezzi oħra li jippreġudikaw inqas id-drittijiet fundamentali tal-persuni kkonċernati, b’mod partikolari d-drittijiet għar-rispett tal-ħajja privata u għall-protezzjoni tad-data personali ggarantiti fl-Artikoli 7 u 8 tal-Karta, peress li d-derogi u r-restrizzjonijiet għall-prinċipju tal-protezzjoni ta’ tali data għandhom isiru fil-limiti ta’ dak li huwa strettament neċessarju. (ara, f’dan is-sens, is-sentenzi tat-22 ta’ Ġunju 2021, Latvijas Republikas Saeima (Punti ta’ penalità), C‑439/19, EU:C:2021:504, punt 110 u l-ġurisprudenza ċċitata, kif ukoll tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali), C‑252/21, EU:C:2023:537, punt 94).

Fl-aħħar nett, għandu jiġi ppreċiżat li, konformement mal-Artikolu 13(1)(c) tal-GDPR, meta data personali tinġabar mingħand is-suġġett tad-data, huwa l- responsabbli għall-ipproċessar li għandu jinformah kemm dwar l-għanijiet tal-ipproċessar li għalih din id-data hija intiża kif ukoll dwar il-bażi legali ta’ dan l-ipproċessar (sentenza tal-4 ta’ Ottubru 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, punt 33 u l-ġurisprudenza ċċitata).

F’dan il-każ, għandu jiġi osservat li ma huwiex ikkontestat li t-titolu, li jikkorrispondi għal identità tal-ġeneru maskili jew femminili, jista’ tiġi kklassifikata bħala “data personali” meta din tkun relatata ma’ persuna identifikata, fis-sens tal-punt 1 tal-Artikolu 4 tal-GDPR, u li din id-data tkun is-suġġett ta’ “pproċessar”, fis-sens tal-punt 2 tal-Artikolu 4 tal-GDPR, sa fejn din tinġabar u tiġi rreġistrata minn SNCF Connect fil-kuntest tal-bejgħ online ta’ biljetti tat-trasport. Konsegwentement, dan l-ipproċessar, li huwa, barra minn hekk, ta’ natura awtomatizzata, jaqa’ fil-kamp ta’ applikazzjoni ratione materiae ta’ dan ir-regolament, skont l-Artikolu 2(1) tiegħu.

Barra minn hekk, id-domanda magħmula mill-qorti tar-rinviju hija bbażata fuq żewġ premessi, jiġifieri, minn naħa, li l-ipproċessar ta’ data inkwistjoni fil-kawża prinċipali jitwettaq mingħajr il-kunsens tas-suġġetti tad-data, fis-sens tal-punt 11 tal-Artikolu 4 tal-punt (a) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR u, min-naħa l-oħra, li dan l-ipproċessar ma huwiex neċessarju għall-osservanza ta’ obbligu legali li għalih il-kontrollur responsabbli għall-ipproċessar huwa suġġett, fis-sens tal-punt (c) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR. Għalhekk, id-domanda magħmula tirrigwarda esklużivament il-possibbiltà li jiġu invokati l-ġustifikazzjonijiet imsemmija fil-punti (b) u (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, fil-kuntest tal-ipproċessar ta’ data inkwistjoni fil-kawża prinċipali.

Fuq il-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR.

32	L-ewwel subartikolu tal-Artikolu 6(1)(b) tal-GDPR jipprovdi li l-ipproċessar ta’ data personali jkun legali jekk ikun “meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt”.

F’dan ir-rigward, sabiex ipproċessar ta’ data personali jitqies li huwa neċessarju għall-eżekuzzjoni ta’ kuntratt, fis-sens ta’ din id-dispożizzjoni, dan għandu jkun oġġettivament indispensabbli sabiex jitwettaq skop li jagħmel parti integrali mill-provvista kuntrattwali intiża għas-suġġett tad-data. Il-kontrollur ta’ dan l-ipproċessar għandu għalhekk ikun f’pożizzjoni li juri kif l-għan prinċipali ta’ dan il-kuntratt ma jkunx jista’ jintlaħaq fl-assenza tal-imsemmi ipproċessar (sentenza tat-12 ta’ Settembru 2024, HTB Neunte Immobilien Portfolio u Ökorenta Neue Energien Ökostabil IV, C‑17/22 u C‑18/22, EU:C:2024:738, punt 43 kif ukoll il-ġurisprudenza ċċitata).

Il-fatt li tali pproċessar jissemma fil-kuntratt jew li jkun utli biss għall-eżekuzzjoni tiegħu huwa, fih innifsu, irrilevanti f’dan ir-rigward. Fil-fatt, l-element determinanti għall-finijiet tal-applikazzjoni tal-ġustifikazzjoni msemmija fil-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR huwa li l-ipproċessar ta’ data personali mwettaq mill-kontrollur responsabbli għall-ipproċessar ikun essenzjali sabiex jippermetti l-eżekuzzjoni korretta tal-kuntratt konkluż bejnu u s-suġġett tad-data u, għaldaqstant, li ma jeżistux soluzzjonijiet oħra prattikabbli u inqas intrużivi (sentenza tat-12 ta’ Settembru 2024, HTB Neunte Immobilien Portfolio u Ökorenta Neue Energien Ökostabil IV, C‑17/22 u C‑18/22, EU:C:2024:738, punt 44 kif ukoll il-ġurisprudenza ċċitata).

F’dan il-kuntest, meta l-kuntratt jikkonsisti f’diversi servizzi jew f’diversi elementi distinti tal-istess servizz li jistgħu jiġu eżegwiti indipendentement minn xulxin, l-applikabbiltà tal-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR għandha tiġi evalwata separatament fil-kuntest ta’ kull wieħed minn dawn is-servizzi (sentenza tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali), C‑252/21, EU:C:2023:537, punt 100).

F’dan il-każ, huwa paċifiku li l-għan prinċipali tal-kuntratt inkwistjoni fil-kawża prinċipali huwa l-provvista lill-klijenti ta’ servizz ta’ trasport ferrovjarju. Skont il-qorti tar-rinviju, l-ipproċessar tad-data inkwistjoni fil-kawża prinċipali għandu bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali fir-rigward tal-klijent, fl-osservanza ta’ użanzi normalment aċċettati fil-qasam.

Kif osserva l-Avukat Ġenerali, essenzjalment, fil-punt 42 tal-konklużjonijiet tiegħu, il-komunikazzjoni kummerċjali tista’ tikkostitwixxi għan li jagħmel parti integrali mill-provvista kuntrattwali kkonċernata, peress li l-provvista ta’ tali servizz ta’ trasport ferrovjarju timplika, bħala prinċipju, li jiġi kkomunikat mal-klijent għall-finijiet, b’mod partikolari, li jiġi trażmess lilu biljett ta’ trasport b’mezz elettroniku, li jiġi informat b’eventwali bidliet li jaffettwaw il-vjaġġ korrispondenti, kif ukoll li jiġu permessi skambji mas-servizz ta’ wara l-bejgħ. Din il-komunikazzjoni tista’ teħtieġ l-osservanza ta’ użanzi u tinkludi b’mod partikolari formuli ta’ korteżija, sabiex tintwera r-rispett tal-impriża kkonċernata fir-rigward tal-klijent tagħha u, b’dan il-mod, tiġi protetta l-immaġni tat-trade mark ta’ din l-impriża.

Madankollu, jidher li tali komunikazzjoni ma għandhiex neċessarjament tiġi personalizzata skont l-identità tal-ġeneru tal-klijent ikkonċernat. Fil-fatt, skont il-ġurisprudenza, il-personalizzazzjoni tal-kontenut ma tidhirx neċessarja sabiex jiġu offruti servizzi lil klijent meta dawn is-servizzi jistgħu, jekk ikun il-każ, jiġu pprovduti lilu fil-forma ta’ alternattiva ekwivalenti li ma tkunx tinvolvi tali personalizzazzjoni, b’tali mod li din tal-aħħar ma hijiex oġġettivament indispensabbli għal skop li jifforma parti integrali mill-imsemmija servizzi. (ara f’dan is-sens, is-sentenza tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali) (C‑252/21, EU:C:2023:537, punt 102).

Fir-rigward tas-servizzi inkwistjoni fil-kawża prinċipali, personalizzazzjoni tal-komunikazzjoni kummerċjali, ibbażata fuq identità tal-ġeneru preżunta skont it-titolu, la tidher oġġettivament indispensabbli, u lanqas essenzjali sabiex tippermetti l-eżekuzzjoni korretta tal-kuntratt ikkonċernat, fis-sens tal-ġurisprudenza mfakkra fil-punti 33 u 34 ta’ din is-sentenza.

Fil-fatt, soluzzjoni prattika u inqas intrużiva tidher li teżisti, peress li l-impriża kkonċernata tista’ tagħżel, fir-rigward tal-klijenti li ma jixtiqux jindikaw it-titolu tagħhom jew b’mod ġenerali, komunikazzjoni bbażata fuq formoli ta’ korteżija ġeneriċi, inklużivi u mingħajr korrelazzjoni mal-identità tal-ġeneru preżunta tal-klijenti. Barra minn hekk, kif osserva l-Avukat Ġenerali fil-punti 49 u 50 tal-konklużjonijiet tiegħu, jidher, bla ħsara għall-verifika mill-qorti tar-rinviju, li SNCF Connect diġà tuża tali formuli u li, barra minn hekk, l-indikazzjoni ta’ titolu ineżatta ma taffettwax il-provvista tas-servizzi ta’ trasport ikkonċernati, u dan jikkonferma li l-ipproċessar tad-data inkwistjoni fil-kawża prinċipali ma huwiex oġġettivament indispensabbli sabiex jiġi eżegwit l-għan prinċipali tal-kuntratt.

F’dan il-kuntest, għandu jiġi ppreċiżat ukoll li, waqt is-seduta, SNCF Connect sostniet li l-ipproċessar ta’ data inkwistjoni fil-kawża prinċipali kien isegwi t-tieni għan, jiġifieri l-adattament tas-servizzi ta’ trasport għall-ferroviji ta’ bil-lejl, li jinkludu karozzi rriżervati għall-persuni li għandhom l-istess identità tal-ġeneru, u għall-assistenza lill-passiġġieri b’diżabbiltà. Skont SNCF Connect, dan l-għan ta’ adattament tas-servizzi ta’ trasport jista’ jeħtieġ li tkun magħrufa l-identità tal-ġeneru tal-klijenti kkonċernati.

Issa, dan it-tieni għan ma jistax jiġġustifika l-ipproċessar sistematiku u ġġeneralizzat tad-data dwar it-titolu tal-klijenti kollha tal-impriża kkonċernata, inklużi l-klijenti li jivvjaġġaw kuljum jew li ma għandhomx diżabbiltà. Fil-fatt, tali pproċessar ikun sproporzjonat u, għalhekk, imur kontra l-prinċipju ta’ minimizzazzjoni tad-data, imfakkar fil-punt 24 ta’ din is-sentenza, peress li seta’ jkun limitat għad-data dwar l-identità tal-ġeneru biss tal-klijenti li jixtiequ jivvjaġġaw bil-ferrovija ta’ billejl jew jibbenefikaw minn assistenza ppersonalizzata minħabba d-diżabbiltà li jsofru minnha.

Għalhekk, il-punt (b) tal-ewwel subparagrafu tal-Artikolu 6(1) tar-GDPR, moqri flimkien mal-Artikolu 5(1)(c) tiegħu, għandu jiġi interpretat fis-sens li l-ipproċessar ta’ data personali dwar it-titolu tal-klijenti ta’ impriża tat-trasport, li għandha bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali bbażata fuq l-identità tal-ġeneru tagħhom, la jidher oġġettivament indispensabbli u lanqas essenzjali sabiex jippermetti l-eżekuzzjoni korretta ta’ kuntratt u, għaldaqstant, ma jistax jitqies li huwa neċessarju għall-eżekuzzjoni ta’ dan il-kuntratt.

Fuq l-ewwel subparagrafu tal-Artikolu 6(1)(f) tal-GDPR.

L-ewwel subparagrafu tal-Artikolu 6(1)(f) tal-GDPR jipprevedi li l-ipproċessar ta’ data personali jkun legali jekk dan ikun “meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur responsabbli għall-ipproċessar jew minn terz, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni”.

Skont ġurisprudenza stabbilita, din id-dispożizzjoni tipprevedi tliet kundizzjonijiet kumulattivi sabiex l-ipproċessar ta’ data personali li hija ssemmi jkun legali, jiġifieri, l-ewwel nett, it-tfittxija ta’ interess leġittimu mill-kontrollur responsabbli għall-ipproċessar tad-data jew minn terz, it-tieni nett, in-neċessità tal-ipproċessar tad-data personali sabiex jintlaħaq l-interess leġittimu mfittex u, it-tielet nett, il-kundizzjoni li l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data mill-protezzjoni tad-data ma jkunux jipprevalu fuq l-interess leġittimu tal-kontrollur responsabbli għall-ipproċessar jew ta’ terz (sentenzi tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali), C‑252/21, EU:C:2023:537, punt 106, kif ukoll tal-4 ta’ Ottubru 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, punt 37).

L-ewwel, fir-rigward tal-kundizzjoni relatata mat-tfittxija ta’ interess leġittimu, għandu jiġi ppreċiżat li, konformement mal-Artikolu 13(1)(d) tal-GDPR, huwa l-kontrollur responsabbli għall-ipproċessar, fil-mument li fih data personali relatata ma’ suġġett tad-data tinġabar mingħand dan is-suġġett, li għandu jindikalu l-interessi leġittimi mfittxija meta dan l-ipproċessar ikun ibbażat fuq il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament. Fl-assenza ta’ definizzjoni tal-kunċett ta’ “interess leġittimu” mill-GDPR, firxa wiesgħa ta’ interessi tista’, bħala prinċipju, titqies li hija leġittima. B’mod partikolari, dan il-kunċett ma huwiex limitat għall-interessi stabbiliti u ddeterminati minn liġi (ara, f’dan is-sens, is-sentenzi tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali), C‑252/21, EU:C:2023:537, punt 107, kif ukoll tal-4 ta’ Ottubru 2024, Koninklijke Nederlandse Lawn Tennisbond,C‑621/22, EU:C:2024:857, punti 38, 40 u 41, kif ukoll il-ġurisprudenza ċċitata).

Għalhekk, mill-premessa 47 tar-RĠPD jirriżulta li tali interess leġittimu jista’ jeżisti pereżempju fil-każ fejn ikun hemm relazzjoni rilevanti u adatta bejn is-suġġett tad-data u l-kontrollur responsabbli għall-ipproċessar f’sitwazzjonijiet bħal fejn is-suġġett tad-data jkun klijent jew fis-servizz tal-kontrollur responsabbli għall-ipproċessar.

F’dak li jirrigwarda, it-tieni nett, il-kundizzjoni dwar in-neċessità tal-ipproċessar tad-data personali għall-finijiet tal-interess leġittimu mfittex, u fid-dawl tal-ġurisprudenza mfakkra fil-punt 28 ta’ din is-sentenza, hija l-qorti tar-rinviju li għandha tivverifika jekk l-interess leġittimu tal-ipproċessar tad-data mfittex jistax raġonevolment jintlaħaq b’mod daqstant effikaċi permezz ta’ mezzi oħra li jippreġudikaw inqas il-libertajiet u d-drittijiet fundamentali tal-persuni kkonċernati, peress li tali pproċessar għandu jsir fil-limiti ta’ dak li huwa strettament neċessarju għat-twettiq ta’ dan l-interess leġittimu.

F’dan il-kuntest, hemm ukoll lok li jitfakkar li l-kundizzjoni relatata man-neċessità tal-ipproċessar għandha tiġi eżaminata flimkien mal-prinċipju msejjaħ ta’ minimizzazzjoni tad-data stabbilit fl-Artikolu 5(1)(c) tal-GDPR, li skontu d-data personali għandha tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-finijiet li għalihom tkun qed tiġi pproċessata (sentenza tat-12 ta’ Settembru 2024, HTB Neunte Immobilien Portfolio u Ökorenta Neue Energien Ökostabil IV, C‑17/22 u C‑18/22, EU:C:2024:738, punt 52 kif ukoll il-ġurisprudenza ċċitata).

Fl-aħħar nett f’dak li jirrigwarda, fit-tielet, tal-kundizzjoni intiża li l-interessi jew il-libertajiet u d-drittijiet fundamentali tas-suġġett tad-data mill-protezzjoni tad-data ma jipprevalixxux fuq l-interess leġittimu tal-kontrollur responsabbli għall-ipproċessar jew ta’ terz, il-Qorti tal-Ġustizzja ddeċidiet li din timplika bbilanċjar bejn id-drittijiet u l-interessi opposti inkwistjoni li jkun jiddependi, bħala prinċipju, fuq iċ-ċirkustanzi konkreti tal-każ partikolari u li, konsegwentement, hija l-qorti tar-rinviju li għandha twettaq dan l-ibbilanċjar billi tieħu inkunsiderazzjoni dawn iċ-ċirkustanzi speċifiċi. B’hekk, hekk kif jirriżulta mill-premessa 47 tal-GDPR, l-interessi u d-drittijiet fundamentali tas-suġġett tad-data jistgħu, b’mod partikolari, jipprevalixxu fuq l-interess tal-kontrollur responsabbli għall-ipproċessar meta data personali tiġi pproċessata f’ċirkustanzi fejn is-suġġetti tad-data ma jistennewx b’mod raġonevoli tali pproċessar. (ara, f’dan is-sens, is-sentenza tat-12 ta’ Settembru 2024, HTB Neunte Immobilien Portfolio u Ökorenta Neue Energien Ökostabil IV, C‑17/22 u C‑18/22, EU:C:2024:738, punti 53 u 54, kif ukoll il-ġurisprudenza ċċitata).

F’dan il-każ, għalkemm b’mod definittiv hija l-qorti tar-rinviju li għandha tevalwa jekk, fir-rigward tal-ipproċessar ta’ data personali inkwistjoni fil-kawża prinċipali, it-tliet kundizzjonijiet imfakkra fil-punt 45 ta’ din is-sentenza humiex issodisfatti, huwa possibbli għall-Qorti tal-Ġustizzja, li tiddeċiedi fir-rinviju għal deċiżjoni preliminari, li tagħmel preċiżazzjonijiet intiżi sabiex jiggwidaw lil din il-qorti f’din id-determinazzjoni (ara, b’analoġija, is-sentenza tat-12 ta’ Settembru 2024, HTB Neunte Immobilien Portfolio u Ökorenta Neue Energien Ökostabil IV, C‑17/22 u C‑18/22, EU:C:2024:738, punt 55, kif ukoll il-ġurisprudenza ċċitata).

Fir-rigward tal-ewwel kundizzjoni, imsemmija fil-punt 46 ta’ din is-sentenza, hija l-qorti tar-rinviju li għandha tivverifika jekk SNCF Connect indikatx interess leġittimu lill-klijenti tagħha, konformement mal-Artikolu 13(1)(d) tal-GDPR, fl-istadju tal-ġbir tad-data inkwistjoni fil-kawża prinċipali. Kif irrileva l-Avukat Ġenerali fil-punt 58 tal-konklużjonijiet tiegħu, din id-dispożizzjoni timponi li s-suġġetti tad-data jiġu informati direttament bl-interess leġittimu mfittex fil-mument ta’ dan il-ġbir, li mingħajrha l-imsemmi ġbir ma jistax jiġi ġġustifikat abbażi tal-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament. Il-proċess għad-dispożizzjoni tal-Qorti tal-Ġustizzja ma jippermettix li jiġi evalwat jekk dan ir-rekwiżit ġiex osservat fil-kuntest tal-kawża prinċipali.

53	F’dan il-kuntest, għandu jiġi ppreċiżat li, fl-osservazzjonijiet bil-miktub tagħha, SNCF Connect irreferiet għal għan ta’ marketing, li jista’ jeħtieġ personalizzazzjoni tal-komunikazzjoni u, konsegwentement, l-ipproċessar tad-data inkwistjoni fil-kawża prinċipali.

F’dan ir-rigward, skont l-aħħar sentenza tal-premessa 47 tar-RĠPD, l-ipproċessar ta’ data personali għal finijiet ta’ kummerċjalizzazzjoni diretta jista’ jitqies li twettaq għal interess leġittimu. B’mod partikolari, il-personalizzazzjoni tar-reklamar tista’ tiġi assimilata mal-marketing f’tali kuntest. (ara, b’analoġija, is-sentenza tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali) (C‑252/21, EU:C:2023:537, punt 115).

Fir-rigward tat-tieni kundizzjoni, imsemmija fil-punt 48 ta’ din is-sentenza, bla ħsara għall-verifika mill-qorti tar-rinviju, jidher li personalizzazzjoni tal-komunikazzjoni kummerċjali tista’ tkun limitata għall-ipproċessar tal-kunjomijiet u tal-ismijiet tal-klijenti, peress li t-titolu u/jew l-identità tal-ġeneru tagħhom hija informazzjoni li ma tidhirx li hija strettament neċessarja f’dan il-kuntest, b’mod partikolari fid-dawl tal-prinċipju ta’ minimizzazzjoni tad-data.

Fl-osservazzjonijiet bil-miktub rispettivi tagħhom, SNCF Connect u l-Gvern Franċiż isostnu li, sabiex tiġi evalwata n-neċessità ta’ pproċessar ta’ data personali, għandhom jittieħdu inkunsiderazzjoni l-użanzi u l-konvenzjonijiet soċjali speċifiċi għal kull Stat Membru, b’mod partikolari sabiex tiġi ppreżervata d-diversità lingwistika u kulturali, imsemmija fil-premessa 4 tal-GDPR. Madankollu, għandu jiġi rrilevat, minn naħa, li l-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR ma jipprevedix it-teħid inkunsiderazzjoni tal-użanzi u tal-ftehimiet soċjali għall-finijiet tal-evalwazzjoni tan-natura neċessarja ta’ tali pproċessar, filwaqt li jiġi ppreċiżat li dan l-artikolu għandu jkun is-suġġett ta’ interpretazzjoni restrittiva, kif tfakkar fil-punt 27 ta’ din is-sentenza.

Min-naħa l-oħra, l-assenza ta’ pproċessar ta’ data dwar it-titolu jew l-identità tal-ġeneru tal-klijenti kkonċernati ma tidhirx li hija ta’ natura li taffettwa din id-diversità. Fil-fatt, kif jirriżulta mill-punt 40 ta’ din is-sentenza, il-kontrollur jista’ josserva dawn l-użanzi u konvenzjonijiet soċjali billi juża, fir-rigward tal-klijenti li ma jixtiqux jindikaw it-titolu tagħhom jew b’mod ġenerali, formoli ta’ korteżija ġeneriċi, inklużivi u mingħajr korrelazzjoni mal-identità tal-ġeneru ta’ dawn il-klijenti, b’tali mod li l-argument żviluppat minn SNCF Connect u mill-Gvern Franċiż ma jistax, fi kwalunkwe każ, jintlaqa’.

Fir-rigward tat-tielet kundizzjoni, imsemmija fil-punt 50 ta’ din is-sentenza, u tal-ibbilanċjar tad-drittijiet u tal-interessi opposti preżenti, jiġifieri dawk tal-kontrollur responsabbli għall-ipproċessar, minn naħa, u dawk tas-suġġett tad-data, min-naħa l-oħra, għandhom jittieħdu inkunsiderazzjoni, b’mod partikolari, l-aspettattivi raġonevoli tas-suġġett tad-data kif ukoll il-portata tal-ipproċessar ikkonċernat u l-impatt tiegħu fuq din il-persuna (sentenza tal-4 ta’ Lulju 2023, Meta Platforms et (Kundizzjonijiet ġenerali għall-użu ta’ network soċjali), C‑252/21, EU:C:2023:537, punt 116).

Kif osserva l-Avukat Ġenerali, essenzjalment, fil-punt 70 tal-konklużjonijiet tiegħu, bla ħsara għal verifika mill-qorti tar-rinviju, il-klijent ta’ impriża ta’ trasport ma huwiex mistenni li jistenna li din l-impriża tipproċessa data dwar it-titolu tiegħu jew l-identità tal-ġeneru tiegħu fil-kuntest tax-xiri ta’ biljett tat-trasport. Dan ikun il-każ, b’mod partikolari, jekk dan l-ipproċessar jitwettaq biss għal finijiet ta’ marketing.

L-interess leġittimu relatat mat-tiftix kummerċjali ma jistax, fi kwalunkwe każ, jipprevali f’każ ta’ riskju ta’ ksur tad-drittijiet u tal-libertajiet fundamentali tas-suġġett tad-data. Fil-fatt, kif jirriżulta mill-premessa 75 tal-GDPR, ir-riskji għad-drittijiet u l-libertajiet tal-persuni fiżiċi, bi probabbiltà u gravità li jvarjaw, jistgħu jirriżultaw mill-ipproċessar ta’ data ta’ natura personali li tista’ twassal għal dannu fiżiku, materjali jew mhux materjali, b’mod partikolari fejn tali trattament jista’ jagħti lok għal diskriminazzjoni.

F’dan il-kuntest, b’mod partikolari, hija l-qorti tar-rinviju li għandha tivverifika l-eżistenza tar-riskju ta’ diskriminazzjoni bbażata fuq l-identità tal-ġeneru, allegat minn Mousse, b’mod partikolari fid-dawl tad-Direttiva 2004/113, li timplimenta l-prinċipju ta’ trattament ugwali bejn l-irġiel u n-nisa fl-aċċess għall-prodotti u s-servizzi u fil-provvista tagħhom.

F’dan ir-rigward, għandu jiġi ppreċiżat li l-kamp ta’ applikazzjoni ta’ din id-direttiva ma jistax jiġi ridott biss għad-diskriminazzjonijiet li jirriżultaw mill-appartenenza għal tip wieħed jew ieħor ta’ ġeneru. Fid-dawl tal-għan tagħha u tan-natura tad-drittijiet li hija tfittex li tipproteġi, l-imsemmija direttiva hija intiża wkoll sabiex tapplika għad-diskriminazzjonijiet li joriġinaw mill-bidla fl-identità tal-ġeneru ta’ persuna. (ara, b’analoġija, is-sentenza tas-27 ta’ April 2006, Richards, C‑423/04, EU:C:2006:256, punt 24 u l-ġurisprudenza ċċitata).

Konsegwentement, l-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1)tal-GDPR, moqri flimkien mal-Artikolu 5(1)(c) ta’ dan ir-regolament, għandu jiġi interpretat fis-sens li l-ipproċessar ta’ data personali dwar it-titolu tal-klijenti ta’ impriża tat-trasport, li għandu bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali bbażata fuq l-identità tal-ġeneru tagħhom, ma jistax jitqies li huwa neċessarju għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur ta’ dan l-ipproċessar jew minn terz, meta:

–	l-interess leġittimu mfittex ma ġiex indikat lil dawn il-klijenti meta jiġbru din id-data; jew

–	l-imsemmi pproċessar ma jsirx fil-limiti ta’ dak li huwa strettament neċessarju għat-twettiq ta’ dan l-interess leġittimu; jew

–	fid-dawl taċ-ċirkustanzi rilevanti kollha, il-libertajiet u d-drittijiet fundamentali tal-imsemmija klijenti jistgħu jipprevalu fuq l-imsemmi interess leġittimu, b’mod partikolari minħabba riskju ta’ diskriminazzjoni bbażata fuq l-identità tal-ġeneru.

Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, ir-risposta għall-ewwel domanda għandha tkun li l-punti (b) u (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tar-GDPR, moqri flimkien mal-Artikolu 5(1) (c) ta’ dan ir-regolament, għandhom jiġu interpretati fis-sens li:

–

l-ipproċessar ta’ data personali dwar it-titolu tal-klijenti ta’ impriża tat-trasport, li għandha bħala għan il-personalizzazzjoni tal-komunikazzjoni kummerċjali bbażata fuq l-identità tal-ġeneru tagħhom, la jidher oġġettivament indispensabbli u lanqas essenzjali sabiex jippermetti l-eżekuzzjoni korretta ta’ kuntratt u, għaldaqstant, ma jistax jitqies li huwa neċessarju għall-eżekuzzjoni ta’ dan il-kuntratt.

–

l-ipproċessar ta’ data personali relatata mat-titolu tal-klijenti ta’ kumpanija tat-trasport, li jkollha bħala l-għan tagħha l-personalizzazzjoni tal-komunikazzjoni kummerċjali abbażi tal-identità tal-ġeneru tagħhom, ma jistax jitqies meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur responsabbli għall-ipproċessar jew minn terz meta:

–	l-interess leġittimu mfittex ma ġiex indikat lil dawn il-klijenti meta jiġbru din id-data; jew

–	l-imsemmi pproċessar ma jsirx fil-limiti ta’ dak li huwa strettament neċessarju għat-twettiq ta’ dan l-interess leġittimu; jew

–	fid-dawl taċ-ċirkustanzi rilevanti kollha, il-libertajiet u d-drittijiet fundamentali tal-imsemmija klijenti jistgħu jipprevalu fuq l-imsemmi interess leġittimu, b’mod partikolari minħabba riskju ta’ diskriminazzjoni bbażata fuq l-identità tal-ġeneru.

Fuq it-tieni domanda

Permezz tat-tieni domanda tagħha, il-qorti tar-rinviju tistaqsi, essenzjalment, jekk l-ewwel subparagrafu tal-Artikolu 6(1)(f) tal-GDPR għandux jiġi interpretat fis-sens li, għall-fini tal-evalwazzjoni tan-neċessità ta’ pproċessar ta’ data personali fis-sens ta’ din id-dispożizzjoni, għandha tittieħed inkunsiderazzjoni l-eżistenza possibbli ta’ dritt għall-oġġezzjoni tas-suġġett tad-data, skont l-Artikolu 21(1) tar-Regolament GDPR.

L-Artikolu 21(1) tal-GDPR jipprovdi li s-suġġett tad-data għandu d-dritt li joġġezzjona, għal raġunijiet relatati mas-sitwazzjoni partikolari tiegħu, fi kwalunkwe mument għall-ipproċessar ta’ data personali li tikkonċerna lilu li hija bbażata fuq il-punti (e) jew (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament, inkluż it-tfassil ta’ profili abbażi ta’ dawk id-dispożizzjonijiet. Il- responsabbli għall-ipproċessar ma għandux jibqa’ jipproċessa d-data personali sakemm il-kontrollur ma jurix li hemm raġunijiet leġittimi u imperattivi għal tali pproċessar li jipprevalu fuq l-interessi kif ukoll id-drittijiet u l-libertajiet tas-suġġett tad-data jew għall-konstatazzjoni, l-eżerċizzju jew id-difiża ta’ talbiet legali.

L-applikabbiltà tal-Artikolu 21 tal-GDPR u, konsegwentement, l-eventwali eżistenza ta’ dritt għall-oġġezzjoni jippreżupponu l-eżistenza ta’ pproċessar legali, ibbażat f’dan il-każ fuq l-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) ta’ dan ir-regolament. Issa, sabiex ikun legali, tali pproċessar għandu preliminarjament jissodisfa l-kundizzjoni ta’ neċessità stretta, imsemmija fil-punt 48 ta’ din is-sentenza.

Kif osserva l-Avukat Ġenerali fil-punti 80 u 82 tal-konklużjonijiet tiegħu, mill-kliem u mill-istruttura tad-dispożizzjonijiet ikkonċernati jirriżulta għalhekk li l-eżistenza ta’ dritt għall-oġġezzjoni ma tistax tittieħed inkunsiderazzjoni għall-finijiet tal-evalwazzjoni tal-legalità u, b’mod partikolari, tan-neċessità tal-ipproċessar ta’ data personali inkwistjoni fil-kawża prinċipali.

Din l-interpretazzjoni hija kkonfermata mill-għan imfittex mil-GDPR, li huwa, fid-dawl tal-premessa 10 tiegħu, li jiġi żgurat livell għoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali. Fil-fatt, kull interpretazzjoni oħra jkollha l-effett li ddgħajjef ir-rekwiżiti msemmija fl-punti (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR, billi testendi r-raġunijiet għal-legalità tal-ipproċessar ikkonċernat, minkejja li din id-dispożizzjoni għandha tingħata interpretazzjoni restrittiva, fid-dawl tal-ġurisprudenza mfakkra fil-punt 27 ta’ din is-sentenza.

Fid-dawl tal-kunsiderazzjonijiet kollha preċedenti, ir-risposta għat-tieni domanda għandha tkun li l-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tal-GDPR għandu jiġi interpretat fis-sens li, sabiex tiġi evalwata n-neċessità ta’ pproċessar ta’ data personali skont din id-dispożizzjoni, ma hemmx lok li tittieħed inkunsiderazzjoni l-eventwali eżistenza ta’ dritt għall-oġġezzjoni mis-suġġett tad-data, skont l-Artikolu 21 tar-Regolament GDPR.

Fuq l-ispejjeż

Peress li l-proċedura għandha, fir-rigward tal-partijiet fil-kawża prinċipali, in-natura ta’ kwistjoni mqajma quddiem il-qorti tar-rinviju, hija dik il-qorti li tiddeċiedi fuq l-ispejjeż. L-ispejjeż sostnuti għas-sottomissjoni tal-osservazzjonijiet lill-Qorti tal-Ġustizzja, barra dawk tal-imsemmija partijiet, ma jistgħux jitħallsu lura.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (L-Ewwel Awla) taqta’ u tiddeċiedi:

Il-punti (b) u (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data), moqri fid-dawl tal-Artikolu 5(1)(c) tiegħu,

għandhom jiġu interpretati fis-sens li:

–

–	l-interess leġittimu mfittex ma ġiex indikat lil dawn il-klijenti meta jiġbru din id-data; jew

–	l-imsemmi pproċessar ma jsirx fil-limiti ta’ dak li huwa strettament neċessarju għat-twettiq ta’ dan l-interess leġittimu; jew

–	fid-dawl taċ-ċirkustanzi rilevanti kollha, il-libertajiet u d-drittijiet fundamentali tal-imsemmija klijenti jistgħu jipprevalu fuq l-imsemmi interess leġittimu, b’mod partikolari minħabba riskju ta’ diskriminazzjoni bbażata fuq l-identità tal-ġeneru.

Il-punt (f) tal-ewwel subparagrafu tal-Artikolu 6(1) tar-Regolament 2016/679

għandhom jiġu interpretati fis-sens li:

għall-fini tal-evalwazzjoni tan-neċessità ta’ pproċessar ta’ data personali fis-sens ta’ din id-dispożizzjoni, ma hemmx lok li tittieħed inkunsiderazzjoni l-eżistenza eventwali ta’ dritt għall-oġġezzjoni tas-suġġett tad-data, skont l-Artikolu 21(1) ta’ dan ir-regolament.

Firem

( *1 ) Lingwa tal-kawża: il-Franċiż.